对抗样本4——ILLCM(Iterative Least-Likely Class Method)

 BIM的作者还提出了一种有针对性攻击变体，称为Iterative Least-Likely Class Method(ILLCM)，其目标是生成一个对抗样本，该样本被错误地分类为特定的目标类$t$。事实上，ILLCM将原始分类器选择的可能性最小的类为目标，即$t=\arg \min f(x)$。相应的迭代更新公式如下所示: x i + 1 ′ = Clip ⁡ ϵ { x i ′ − α ⋅ sign ⁡ ( ∇ x L ( x i ′ , t ) ) }  for  i = 0  to  n ,  and  x 0 ′ = x x_{i+1}^{\prime}=\operatorname{Clip}_{\epsilon}\left\{x_{i}^{\prime}-\alpha \cdot \operatorname{sign}\left(\nabla_{x} \mathcal{L}\left(x_{i}^{\prime}, t\right)\right)\right\} \text { for } i=0 \text { to } n, \text { and } x_{0}^{\prime}=x xi+1′​=Clipϵ​{xi′​−α⋅sign(∇x​L(xi′​,t))} for i=0 to n, and x0′​=x除了交叉熵损失中的预测类别从真实标签$y$变为对抗目标$t\ne y$。无目标攻击BIM和FGSM攻击增加了原始分类器的训练损失，有目标攻击ILLCM减少了对抗训练对$(x,t)$的分类损失，以误导模型对目标类$t$的置信度。